chương 12 an ninh trong mạng thương mại

An ninh và vấn đề của mọi người kinh doanh cont.Các tổ chức vừa 100 tới 1,000 máy tính Phụ thuộc chính sách quản lý trong việc thực hiện các quyết định an ninh, và họ có rất ít sự hỗ tr

Trang 1

Chương 12

An ninh trong thương mại điện tử

Trang 2

Nội dung

1 Tài liệu trong máy tính và mạng phát triển

nhanh nên nguy cơ bị tấn công cũng tăng.

2 Mô tả các biện pháp an ninh thông dụng

của các doanh nghiệp.

3 Hiểu các phần tử cơ bản của an ninh

TMĐT.

4 Giải thích các loại tấn công an ninh cơ bản

của mạng máy tính.

Trang 3

Nội dung (cont.)

5 Mô tả các lổi thông thường mà các tổ

chức gặp phải trong vấn đề quản lý

an ninh

6 Thảo luận một vài công nghệ chính

cho việc an ninh truyền thông TMĐT

7 Chi tiết một vài công nghệ chính cho

các thành phần an ninh mạng máy

Trang 4

Câu chuyện tấn công vét cạn

thẻ tín dụng

Vấn đề

Spitfire Novelties thường thực hiện

từ 5 đến 30 giao dịch một ngày

Vào ngày 12 tháng 12 năm 2002

trong một cuộc tấn công “vét cạn”

trong một cuộc tấn công “vét cạn”, thẻ tín dụng Spitfire xử lý 140,000

thẻ tín dụng giả với giá trị $5.07 cho mổi thẻ (62,000 được chấp nhận)

Trang 5

Trang 6

thẻ tín dụng (cont.)

Tấn công vét cạn thẻ tín dụng chỉ cần một số kĩ năng tối thiểu

Kẻ tấn công (Hacker) chạy hàng ngàn lần số

tiền phải trả nhỏ thông qua tài khoản của các thương gia, mà số tài khoản được sinh ngẫu

nhiên

Khi thủ phạm tìm thấy các số thẻ tín dụng đúng thì họ có thể bán trên thị trường chợ đen

Trong thời đại ngày nay có một số chợ đen trên

Trang 7

Cả hai

Trang 8

thẻ tín dụng (cont.)

Các dịch vụ xử lý thẻ tín dụng của Online Data, một thủ phạm cần mật khẩu của

thương gia để yêu cầu xác thực

Online Data đã bán lại cho VeriSign Inc

các cổng dịch vụ thẻ tín dụng

VeriSign đã quy trách nhiệm cho Online Data về các việc đã xảy ra

Online Data cũng quy trách nhiệm cho Spitfire

là không thay đổi mật khẩu khởi tạo của họ

Trang 9

hiện trong đó 7,000 thẻ thành công

Tham nhập vào hệ thống Authorize.Net chỉ cần tên đăng nhập, không cần mật khẩu

Trang 10

Giải pháp cho việc tấn công

Trang 11

Giải pháp cho việc tấn công vét cạn thẻ tín dụng (cont.)

Trang 12

$316,000 phải thanh toán

Các thương nhân Authorize.Net phải trả $0.35 cho mỗi lần giao dịch

Thu lại hàng ngìn số thẻ tín dụng

hợp lệ được bán trên thị trường chợ đen

Trang 13

Tấn công vét cạn thẻ tín dụng

(cont.)

Chúng ta có thể học…

Bất cứ loại TMĐT bao gồm nhiều

người tham gia họ sử dụng nhiều

Trang 14

Tấn công vét cạn Những cái mà chúng ta có thể học

Một số tấn công yêu cầu kỹ thuật và công nghệ tinh vi

Đa số các tấn công đều không tinh vi; các thủ tục quản lý rủi ro an ninh chuẩn có thể được dùng để giảm

thiểu khả năng và ảnh hưởng

Trang 15

Cần làm nhanh cho an ninh

TMĐT

Các nghiên cứu hằng năm được thực hiện bởi Computer Security Institute

và FBI

1 Các tổ chức liên tục bị tấn công bởi

những kẻ có kinh nghiệm từ bên trong và bên ngoài tổ chức

Trang 16

Trang 17

TMĐT (cont.)

National Infrastructure Protection

Center (NIPC): liên kết các quan hệ

đối tác, được bảo trợ bởi FBI, giữa

chính phủ và các ngành công nghiệp;

để bảo vệ cơ sở hạ tầng quốc gia

Trang 18

TMĐT (cont.)

Computer Emergency Response Team (CERT): nhóm của ba đội tại trường đại học Carnegie Mellon đã theo dỏi các vụ tấn công, phân tích khả năng tổn thương, và cung cấp các hướng

dẫn để chống lại các sự tấn công này

Trang 19

Quý một của năm

Quý một của năm 2003 số các vụ tấn công đã là 43,000

Trang 20

An ninh và vấn đề của mọi

người kinh doanh

Thực hiện an ninh của tổ chức ở nhiều mức độ

Trang 21

An ninh và vấn đề của mọi người kinh doanh (cont.)

Các tổ chức vừa (100 tới 1,000 máy tính)

Phụ thuộc chính sách quản lý trong việc thực hiện các quyết định an ninh, và họ

có rất ít sự hỗ trợ cho các chính sách CNTT của họ

Các nhân viên của họ thiếu đào tạo-đã

để lộ cho các kẻ tấn công và thiệt hại về căn bản lớn hơn các tổ chức nhỏ

Trang 22

Trang 23

Các tổ chức lớn

An ninh CNTT là một phần thời gian và được đào tạo, chiếm một tỉ lệ phần trăm khá lớn của các ảnh hưởng mất mát và phá hoại mà tổ chức phải chịu từ các vụ tấn công

Các quyết định an ninh của họ dựa trên các chính sách của tổ chức

Trang 24

Các tổ chức rất lớn (nhiều hơn

10,000 máy tính)

một môi trường cực kì phức tạp mà rất khó quản lý với số nhân viên lớn

dựa vào các chính sách quản lý trong việc thực hiện các quyết định an ninh chỉ một tỉ lệ phần trăm nhỏ thì đã có các kết hoạch xác định và chống lại tốt các

vụ tấn công

Trang 25

Các vấn đề an ninh

Từ bối cảnh của người dùng:

Có phải công ty sở hữu và điều hành dịch vụ Web là xác thực không

người khác không?

Trang 27

Các vấn đề an ninh (cont.)

Từ bối cảnh cả hai phía:

Có phải đường kết nối mạng bị nghe trộm bởi một người thứ ba trên

đường truyền không

đường truyền không?

Có phải thông tin được gửi giữa

người dùng và server bị thay đổi

không

không?

Trang 28

Các yêu cầu an ninh

Xác thực (Authentication): là một quá trình mà sử dụng nó một thực thể xác định một thực thể khác là người mà họ yêu cầu

Sự cho phép (Authorization): là quá

trình đảm bảo một người có quyền

truy cập vào các nguồn tài nguyên xác

Trang 29

Các yêu cầu an ninh (cont.)

Kiểm toán (Auditing): là quá trình thu thập thông tin về sự cố gắng truy cập vào một nguồn tài nguyên đặc biệt ,

sử dụng các quyền hành đặc biệt, hay thể hiện các hành động an ninh khác

Trang 30

Sự cẩn mật (Confidentiality): các

thông tin cá nhân và nhạy cảm khỏi bị

lộ tới các cá nhân, các thực thể, hay các xử lý không được xác thực

Trang 31

Tính toàn vẹn (Integrity): được ứng

dụng cho dữ liệu, khả năng bảo vệ dữ liệu khỏi bị thay đổi hay phá hủy từ

những người không được xác thực hay ngẩu nhiên

Trang 32

Các vấn đề an ninh (cont.)

Không từ chối (Nonrepudiation): là

khả năng cho phép các giao dịch đã

được xác thực xảy ra, thường sử dụng chử ký điện tử

Trang 33

Các loại đe dọa và tấn công

Tấn công không dùng kĩ thuật

(Nontechnical attack): Là sự tấn công

Trang 34

(cont.)

Trang 35

(cont.)

Social engineering: một loại tấn công không sử dụng công nghệ mà sử dụng các áp lực xã hội để lừa người sử

dụng máy tính thực hiện các việc có

hại đến mạng máy tính để các cá

nhân này có được quyền truy nhập

Trang 36

Trang 37

(cont.)

Tấn công có tính công nghệ: là sự tấn công sử dụng phần mềm và các hệ

thống tri thức hay kinh nghiệm chuyên môn

Trang 38

(cont.)

Common (security) vulnerabilities and exposures (CVEs): là những rủi ro an ninh máy tính công khai, nó được thu thập, liệt kê, và chia sẽ bởi bảng

thông tin của các tổ chức liên quan

đến an ninh (cve.mitre.org)

Trang 39

(cont.)

Tấn công từ chối dịch

vụ-Denial-of-service (DoS) attack: một sự tấn công trên Web site trong đó kẻ tấn công sử dụng các phần mềm chuyên dụng gửi hàng loạt các gói dữ liệu tới máy tính với mục đích làm quá tải nguồn tài

nguyên của nó

Trang 40

(cont.)

Tấn công từ chối dịch vụ phân

tán-Distributed denial-of-service (DDoS)

attack: là một sự tấn công từ chối dịch

vụ trong đó các kẻ tấn công có được quyền quản trị truy cập tới nhiêu máy tính trên Internet và sử dụng những

máy tính này gửi hàng loạt các gói dữ

Trang 41

(cont.)

Trang 42

thời gian và tiền bạc để khắc phục

85% nghiên cứu phản hồi nói rằng các tổ chức của họ là nạn nhân của virus thư điện tử trong năm 2002

Trang 43

(cont.)

Các đoạn code gây hại trong các biểu mẩu (form)-của thuần khiết và lai

Virus: là một đoạn mã phần mềm tự xâm nhập vào một máy chủ, bao gồm cả

hệ điều hành, để nhân lên; nó yêu cầu các chương trình của máy chủ khi chạy phải kích hoạt nó

Trang 44

(cont.)

phần mềm được chạy một cách độc lập, chi phối nhiều tài nguyên của

máy chủ cho nó và nó có khả năng nhân giống tới các máy khác

Trang 45

(cont.)

virus hay sâu (worm) mà được thực thi khi một đối tượng ứng dụng khi được mở hay một thủ tục đặc biệt

được thực thi

Trang 46

(cont.)

Chú ngựa thành Tơ roa (Trojan

xuất hiện với những chức năng hữu dụng nhưng nó bao gồm các chức

năng ẩn có các nguy cơ về an ninh

Trang 47

Quản lý anh ninh TMĐT

Các lỗi thông dụng trong việc quản lý rủi ro an ninh (McConnell 2002):

Đánh giá thấp thông tin

Xác định các đường biên an ninh tỉ mỉ Quản lý phản ứng an ninh

Xử lý quản lý an ninh đã lỗi thời

Thiếu sự truyền thông về trách nhiệm

an ninh

Trang 48

Quản lý anh ninh TMĐT (cont.)

Quản lý rủi ro an ninh (Security risk

management): một quá trình xử lý có

hệ thống để xác định các loại rủi ro an ninh có thể xảy ra và xác định các

hoạt động cần thiết để bảo vệ hay

giảm bớt các tấn công này

Trang 49

Các pha trong quản lý rủi ro an ninh

Đánh giá

Lên kế hoạch

Thực hiện

Theo dỏi

Trang 50

Ph 1: Đánh giá

Đánh giá các rủi ro an ninh bằng các xác định các tài sản, các điểm dễ bị tổn thương của hệ thống, và những

đe dọa tiềm tàng đối với các điểm dễ

bị tổn thương này

Trang 51

Honeynet: một cách để đánh giá các điểm

database servers) được thiết kế để làm

việc thực nhưng được theo dỏi và nghiên cứu các tấn công mạng xảy ra

Trang 52

Pha 2: Lên kế hoạch

Các kết quả của pha này đưa tới việc xác định các đe dọa nào có thể xảy

ra, đe dọa nào là không

Các chính sách cũng chỉ rõ các cách

đo lường thực hiện chống lại các đe dọa này là quá cao hay độ ưu tiên

cao

Trang 53

Trang 54

Pha 4: Theo dỏi và xác định

Cái nào được đánh giá là thành công Cái nào là không thành công và cần phải thay đổi

Các loại đe dọa mới

Cần phải phát triển và thay đổi trong công nghệ như thế nào

Có cần thêm các tài sản của doanh

Trang 55

Các phương pháp của an ninh TMĐT

Hệ thống nhận dạng

Cơ chế điều khiển quyền truy nhập

Các biểu hiện tiêu cực

Các biểu hiện tích cực

Trang 56

Xác thực

Hệ thống xác thực (Authentication

system): là hệ thống nhận dạng các bên tham gia là hợp pháp để thực

hiện giao dịch, xác định các hành

động của họ là được phép thực hiện,

và hạn chế những hoạt động của họ chỉ cho những giao dịch cần thiết

Trang 57

Xác thực (cont.)

Cơ chế điều khiển truy nhập (Access

control mechanism): là cơ chế giới hạn các hoạt động thực hiện bởi việc nhận dạng một người hay một nhóm

Trang 58

Xác thực (cont.)

Passive tokens: Các thiết bị lưu trữ

(e.g., magnetic strips) được sử dụng trong hệ thống nhận dạng hai yếu tố bao gồm mã mật

Trang 59

Xác thực (cont.)

Active tokens: nhỏ, thiết bị điện tử

đứng một mình trong hệ thống nhận dạng hai yếu tố mà sinh password một lần

Trang 60

Các điều khiển sinh trắc học

Các hệ thống sinh trắc học (Biometric systems): là hệ thống nhận dạng để xác nhận một người bằng cách đánh giá ,so sánh các đặc tính sinh học như dấu vân tay, mẩu tròng mắt, mặt, hay giọng nói

Trang 61

(cont.)

trực tiếp từ các bộ phận trên cơ thể (ví dụ: dấu vân tay, tròng mắt, tay, các

đặc tính mặt)

từ sự khác nhau của các hành động và cách giám tiếp từ các sự khác nhau của các bộ phận trên cơ thể (ví dụ: giọng

nói hay theo dỏi đánh phím)

Trang 62

(cont.)

liên tục của dấu vân tay của một người, được chuyển đổi thành dạng số và lưu

trữ như các mẩu được dùng để nhận

Trang 63

(cont.)

Nhận dạng giọng nói: đánh giá các

dặc tính âm học trong giọng nói,

chuyển đổi thành số và lưu trữu như các mẩu dùng để nhận dạng xác thực

Trang 64

(cont.)

Theo dỏi đánh bàn phím:

Theo dỏi đánh bàn phím: sự đánh giá

áp lực, tốc đội, và nhịp điệu của các

Trang 65

Các phương pháp mã hóa

Cơ sở hạ tầng khóa công cộng-Public key infrastructure (PKI): là một sự sắp theo hệ thống cho việc an ninh thanh toán điện tử sử dụng khóa công cộng

để mã hóa và các bộ phận công nghệ khác

Trang 66

(cont.)

Mã hóa cá nhân và công khai

xáo trộn (mã hóa) một tin nhắn để làm khó, đắt, hay tốn nhiều thời gian cho những người không xác thực để giải mã nó

Trang 67

(cont.)

không được mã hóa ở dạng con

người có thể đọc

sau khi đã được mã hóa vào dạng

máy tính có thể đọc được

Thuật toán mã hóa (Encryption

học dùng để mã hóa bản rõ thành

Trang 68

(cont.)

Hệ thống khóa đối xứng (cá nhân)

để mã hóa và giải mã một mẩu tin

Hệ thống khóa đối xứng (Symmetric

thống mã hóa sử dụng cùng một

khóa để mã hóa và giải mã mẩu tin

Trang 69

(cont.)

Mã hóa dữ liệu tiêu chuẩn (Data

Encryption Standard -DES): là thuật toán

mã hóa đối xứng tiêu chuẩn được NIST

đưa ra và được các cơ quancủa cính phủ

Mỹ sử dụng đến ngày 2 tháng 10 năm

2000

Rijndael: là một phương pháp mã hóa tiên tiến tiêu chuẩn được sử dụng cho an ninh truyền thông của chính phủ Mỹ từ ngày 2 tháng 10 năm 2000

Trang 70

(cont.)

Trang 72

Các phần tử của PKI(cont.)

Trang 73

Các phần tử của PKI (cont.)

Các chử kí số bao gồm:

Băm (Hash): là một tính toán toán học

được áp dụng cho mẩu tin, sử dụng khóa riêng, để mã hóa mẫu tin

Message digest: là một tóm tắt của mẩu tin, được chuyển thành chuổi các chử số, sau khi đã được băm

Phong bì số (Digital envelope): là sự kết hợp giữa mã hóa mẩu tin nguồn và chử kí

Trang 74

Các phần tử của PKI (cont.)

Trang 75

Các giao thức an ninh

Secure Socket Layer (SSL): là giao

thức sử dụng giấy chứng nhận tiêu

chuẩn cho việc nhân dạng và mã hóa

dữ liệu để bảo vệ tính cá nhân và tính cẩn mật

Transport Layer Security (TLS): Từ

năm 1996, là một tên khác của giao

thức SSL

Trang 76

Các giao thức an ninh (cont.)

Secure Electronic Transaction (SET):

một giao thức được thiết kết cung cấp

an ninh giao dịch thẻ tín dụng trực

tuyến cho cả khách hàng và doanh

nghiệp; là sự hợp tác phát triển của

Netscape, Visa, MasterCard, và các

doanh nghiệp khác

Trang 77

Mạng an ninh TMĐT

Các công nghệ cho mạng của tổ chức

Firewall: là một nốt mạng bao gồm phần cứng và phần mềm để tách biệt một mạng riêng với mạng công cộng

Packet-filtering routers: là các Firewall để lọc dữ liệu và yêu cầu di chuyển từ mạng công cộng tới mạng riêng dựa trên các địa chỉ Internet của máy gửi hay nhận yêu cầu

Trang 78

Mạng an ninh TMĐT (cont.)

chấp nhận hay từ chối các gói đến

dựa trên địa chỉ nguồn và đích và các thông tin xác nhận xác

firewall cho phép yêu cầu một trang Web chuyển từ mạng Internet công cộng đến mạng riêng

Trang 79

Proxies: là một chương trình phần mềm

chuyên dụng chạy trên cổng server và cho qua các gói đã được dóng gói lại từ một

mạng tới mạng khác

Trang 80

Trang 81

cho qua thông qua giao diện card

mạng của máy tính

Trang 83

Giao thức đường hầm (Protocol

dụng để chắc chắn tính cẩn mật và toàn vẹn của dữ liệu được truyền

qua Internet, bằng cách mã hóa gói tin, và gửi những gói tin này thông qua Internet, và giải mã chúng tại

địa chỉ đến

Trang 84

Hệ thống xác định sự xâm phạm

(Intrusion detection systems -IDSs): là một loại phần mềm chuyên dụng có

thể theo dỏi các hoạt động đi qua

mạng hay trên một máy chủ, theo dỏi những hành động đáng ngờ, và tự

động hành động dựa trên những điều

Trang 85

Mạng dựa trên IDS (Network-based

hoạt động đáng ngờ tại vành đai của

mạng hay tại những điểm quan trọng trong mạng

Bao gồm một bộ kiểm tra- một phần

mềm để quét các phần mềm agent ở

trên các loại máy chủ và tìm kiếm

thông tin trở về cho bộ kiểm tra

Định dạng
Số trang	88
Dung lượng	1,26 MB